信息安全基础配套资源（徐振华）9 风险测评与评估.pptVIP

信息安全基础 第9章 风险测评与评估 【学习目标】 了解什么是信息安全测评； 了解什么是风险评估； 知道信息安全测评与风险评估之间的关系是什么； 了解信息系统风险测评与风险评估的方法。 9.1信息系统安全测评 信息安全测评是信息安全工程学科的一个分支。测评人员扮演的是“质量监察员、监督员、审核员”的角色。测评工作就是在国际标准化组织（ISO，International Organization For Standardization）和世界各国根据自身特点颁布实施的各种标准规范的框架之内进行的，即“贯标”。 9.1信息系统安全测评 我国的信息系统安全测评就是依据《等级保护》对信息系统所采取的安全措施是否满足相应的等级要求进行符合性测试，对信息系统的安全现状进行评价的过程。测评者应对相应的国家标准非常熟悉，包括《信息系统安全等级保护定级指南》（GB/T 22240-2008）、《信息系统安全等级保护基本要求》（GB/T 22239）等国家相关标准；还应具备相应测评方法和技能。 9.1.1《信息系统安全保护等级定级指南》（GB/T 22240-2008） 1 信息系统安全保护等级 根据等级保护相关文件，信息系统的安全保护等级分为以下五级： 第一级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级：信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 9.1.1《信息系统安全保护等级定级指南》（GB/T 22240-2008） 第三级：信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级：信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级：信息系统受到损坏后，会对国家安全造成特别严重损害。 9.1.1《信息系统安全保护等级定级指南》（GB/T 22240-2008） 2 信息系统安全保护等级的定级要素 信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。 3 定级要素与等级的关系 定级要素与信息系统安全保护等级的关系如表9-1所示。 9.1.1《信息系统安全保护等级定级指南》（GB/T 22240-2008） 表9-1 定级要素与信息系统安全保护等级的关系 9.1.2《信息系统安全等级保护基本要求》（GB/T 22239） 1 等级保护基本要求概述 GB/T 22239《信息系统安全等级保护基本要求》规定了不同安全保护等级信息系统的基本保护要求，包括基本技术要求和基本管理要求，适用于指导分等级的信息系统的安全建设和监督管理。 9.1.2《信息系统安全等级保护基本要求》（GB/T 22239） 基本安全要求是针对不同保护等级信息系统应该具有的基本安全保护能力提出的安全要求，根据实现方式的不同，基本安全要求分为基本技术要求和基本管理要求两大类。 基本技术要求从物理安全、网络安全、主机安全、应用安全和数据安全几个层面提出；基本管理要求从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理几个方面提出，基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分。 9.1.2《信息系统安全等级保护基本要求》（GB/T 22239） 2 等级保护基本要求（第三级） 技术要求 物理安全：包括物理位置的选择、物理访问控制、防盗和防破坏、防雷击、放火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护几个方面。 网络安全：包括结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护几个方面。 9.1.2《信息系统安全等级保护基本要求》（GB/T 22239） 主机安全：包括身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制几个方面。 应用安全：包括身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制几个方面。 数据安全及备份恢复：包括数据完整性、数据保密性、备份和恢复几个方面。 管理要求 包括安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。 9.2风险评估 9.2.1信息安全风险评估的目的和意义 信息安全风险评估有助于认清信息安全环境和信息安全状况，提高信息安全保障能力，其目的和意义体现在以下几个方面。 信息安全风险评估是科学分析并确定风险的过程 信息安全风险评估是信息安全建设的起点和基础 信息安全风险评估是需求主导和突出重点原则的具体体现 信息安全风险评估是组织机构实现信息系统安全的重要步骤 9.2.2信息安全风险评估的原则 信息安全风险评估的原则包括以下几项